Il Registro di sistema di Windows è un database di configurazione gerarchico usato da Windows e da molte applicazioni per memorizzare impostazioni, voci di avvio e altri dati operativi. Poiché è integrato nel sistema operativo e viene accesso continuamente, l'attività del registro spesso appare di routine, il che lo rende attraente per gli aggressori che vogliono nascondere la configurazione, predisporre dati per loader o attivare l'esecuzione all'accesso o all'avvio.
Negli attacchi reali, le voci del registro possono contenere comandi, blob codificati, percorsi di file o chiavi di persistenza che aiutano il malware ad avviarsi senza rilasciare file extra evidenti. I difensori monitorano scritture sospette nel registro, autorun insoliti e modifiche a posizioni sensibili come le chiavi Run, i servizi o le voci correlate alla shell. In una catena di loader, il registro può anche agire come area di staging, memorizzando dati che uno script o un payload leggerà e decodificherà in seguito. Ciò significa che la telemetria del registro è preziosa non solo per rilevare la persistenza, ma anche per individuare passaggi nascosti tra PowerShell, consegna di rete e payload finale.